CVE-2026-4283 in WP DSGVO Tools Plugin
Sumário
de VulDB • 31/05/2026
O plugin WP DSGVO Tools (GDPR) para WordPress é vulnerável à destruição não autorizada de contas em todas as versões até, e incluindo, a 3.1.38. Isso ocorre porque a ação AJAX `super-unsubscribe` aceita um parâmetro `process_now` de usuários não autenticados, o que contorna o fluxo de confirmação por e-mail pretendido e aciona imediatamente a anonimização irreversível da conta. Isso permite que atacantes não autenticados destruam permanentemente qualquer conta de usuário que não seja de administrador (senha randomizada, nome de usuário/e-mail sobrescritos, funções removidas, comentários anonimizados e metadados sensíveis do usuário apagados) ao submeter o endereço de e-mail da vítima com `process_now=1`. O nonce necessário para a solicitação está publicamente disponível em qualquer página que contenha o shortcode `[unsubscribe_form]`.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.